ISMS-P WIKI문서를 불러오고 있습니다
요청한 자료와 최신 연결 정보를 확인하고 있습니다.
인증기준, 공식 자료, 쟁점과 사례를 메뉴와 출처 단위로 좁혀 찾습니다.
제목·요약·본문 전체에서 위키의 모든 문서를 찾습니다. 검색어는 공백으로 나눠 쓸 수 있고 결과는 메뉴·출처·자료 유형으로 좁힐 수 있습니다.
□ 차세대 시스템의 오픈 前 시스템 안전성 확보*를 위해 기존 내부통신망과 분리된 별도 테스트 환경**을 구축하여 실제 이용자 정보를 사용할 경우 전자금융감독규정 제13조제1항제8호에 따른 조치대상에 해당하는지 여부 * 신규/기존 시스템 간 데이터 이관 전후 정합성을 비교하고 신규 시스템에서 생성되는 다양한 대내외 보고서를 실제 보고서와 대사하여 검증하는 등 안전성을 확보할 필요 ** 사전승인된 테스트 인력이 출입등록, CCT
□ 금융회사가 행정안전부 산하 한국지역정보개발원이 운영하는 지방공기업예산회계시스템(이하 'LOBAS')과 연계*하여 지방자치단체 산하기관의 세출 업무를 수행하는 과정에서, LOBAS가 클라우드 환경**으로 이전***되는 경우 해당 금융회사가 「전자금융감독규정」 제14조의2에 따른 클라우드서비스 이용절차 등을 준수해야 하는지 여부 * LOBAS 요청 시 금융회사의 전산시스템은 지방자치단체 산하기관의 지급명세 처리결과 또는 입금명
최근 고성능 AI 모델 등장으로 고도화된 금융권 사이버 위협에 대응하기 위해 「보안 목적 AI‧SaaS* 활용 테스트(「AI 보안위협 대응 방안('26.5.)」, 금융위원회)」에 참여기관으로 선정된 금융회사에 한하여 전자금융감독규정 제14조의2(클라우드컴퓨팅서비스 이용절차) 및 동규정 **제15조 제1항제5호(망분리 의무)**를 예외할 필요 * ① SaaS형 생성형 AI 서비스(GPT, Claude, Gemini 등) ※ 보안
□ 금융회사가 EOS(End of Service) 대응을 위해 핵심업무 시스템을 재구축 및 통합테스트를 수행하면서 데이터 이행 및 정합성 검증 용도*로 내부통제**가 적용된 별도의 영역***에서 미변환된 이용자 정보를 사용하는 것이 전자금융감독규정 제13조제1항제8호에 따른 조치대상에 해당하는지 여부 * 업무특성상 다수 회원/고객사와 연관된 예외적인 데이터 구조가 많아 단순 변환된 개발용 정보로 테스트를 수행할시 데이터 일관성
□ 개정 전자금융거래법 시행(’24.9.15.) 당시 전자금융거래법 제36조의2제4호 및 전자금융거래법 시행령 제22조의4제3항제4호에서 정한 선불업자의 행위규칙과 관련하여 기존 계약에 따라 선불전자지급수단의 거래를 대행하는 경우 1년의 유예기간을 부여*한 바 있음 * 전자금융거래법 시행령 부칙(대통령령 제34887호) 제3조 □ 다만, 정부는 자기사업을 위한 내부정산의 경우에는 PG업에 해당되지 않도록 PG업의 범
□ 개정 전자금융거래법 시행(’24.9.15.) 당시 전자금융거래법 제37조제5항제4호 및 전자금융거래법 시행령 제22조의5제1호에서 정한 가맹점 준수사항과 관련하여 기존 계약에 따라 직불전자지급수단, 선불전자지급수단 등의 거래를 대행하는 경우 1년의 유예기간을 부여*한 바 있음 * 전자금융거래법 시행령 부칙(대통령령 제34887호) 제3조 □ 다만, 정부는 자기사업을 위한 내부정산의 경우에는 PG업에 해당되지 않도
□ 차세대 시스템의 오픈 前 시스템 안전성 확보*를 위해 기존 내부통신망과 분리된 별도 테스트 환경**을 구축하여 실제 이용자 정보를 사용할 경우 전자금융감독규정 제13조제1항제8호에 따른 조치대상에 해당하는지 여부 * 신규/기존 시스템 간 데이터 이관 전후 정합성을 비교하고 신규 시스템에서 생성되는 다양한 대내외 보고서를 실제 보고서와 대사하여 검증하는 등 안전성을 확보할 필요 ** 사전승인된 테스트 인력이 출입등록, CCT
□ 차세대 시스템의 오픈 前 시스템 안전성 확보*를 위해 기존 내부통신망과 분리된 별도 테스트 환경**을 구축하여 실제 이용자 정보를 사용할 경우 전자금융감독규정 제13조제1항제8호에 따른 조치대상에 해당하는지 여부 * 신규/기존 시스템 간 데이터 이관 전후 정합성을 비교하고 신규 시스템에서 생성되는 다양한 대내외 보고서를 실제 보고서와 대사하여 검증하는 등 안전성을 확보할 필요 ** 사전승인된 테스트 인력이 출입등록, CCT
□ ‘24.12.2. 금융위원회는 법령해석(240423)을 통해 가상자산사업자가 보관·관리하던 이용자 거래정보*(이하 “거래정보”) 등을 「신용정보의 이용 및 보호에 관한 법률」(이하 “신용정보법”)상 ‘신용정보’(제2조 제1호) 및 ‘개인신용정보’(제2조 1의3호)에 해당한다고 판단 * 이용자의 성명, 생년월일, 주소, 전화번호,
□ 지방자치단체(이하 “지자체”) 금고은행이 세금 수납 및 지출 정보 보고* 등 필수 업무를 수행하기 위하여 관련 내부 시스템과 행정안전부 산하 한국지역정보개발원이 운영하는 지방재정관리시스템**을 중계서버를 통해 전용회선으로 연결하는 경우, 전자금융감독규정시행세칙 제2조의3제2항제2호가목에 따른 망분리 적용예외에 해당하는지 여부 * 모든 지자체는 세금 수납 및 지출 정보를 행정안전부에 전자적으로 보고할 의
□ 가상자산사업자가 영업을 종료한 경우, 이용자로부터 위탁받아 보관하는 이용자 자산을 「디지털자산보호재단」으로 완전히 이전하는 것을 조건으로 「가상자산이용자보호법」에 따른 이용자 자산의 보호 의무(법 제7조, 제8조) 미준수 행위를 비조치해 줄 것을 요청
□ 개정 전자금융거래법 시행(’24.9.15.) 당시 전자금융거래법 제36조의2제4호 및 전자금융거래법 시행령 제22조의4제4호에서 정한 선불업자의 행위규칙과 관련하여 기존 계약에 따라 선불전자지급수단의 거래를 대행하는 경우 1년의 유예기간을 부여*한 바 있음 * 전자금융거래법 시행령 부칙(대통령령 제34887호) 제3조 □ 다만, 정부는 자기사업을 위한 내부정산의 경우에는 PG업에 해당되지 않도록 PG업의 범위를
□ 개정 전자금융거래법 시행(’24.9.15.) 당시 전자금융거래법 제37조제5항제4호 및 전자금융거래법 시행령 제22조의5제1호에서 정한 가맹점 준수사항과 관련하여 기존 계약에 따라 직불전자지급수단, 선불전자지급수단 등의 거래를 대행하는 경우 1년의 유예기간을 부여*한 바 있음 *전자금융거래법 시행령 부칙(대통령령 제34887호) 제3조 □ 다만, 정부는 자기사업을 위한 내부정산의 경우에는 PG업에 해당되지 않도록
□ 차세대 시스템의 오픈 前 시스템 안전성 확보*를 위해 기존 내부통신망과 분리된 별도 테스트 환경**을 구축하여 실제 이용자 정보를 사용할 경우 전자금융감독규정 제13조제1항제8호에 따른 조치대상에 해당하는지 여부 * 신규/기존 시스템 간 데이터 이관 전후 정합성을 비교하고 신규 시스템에서 생성되는 다양한 대내외 보고서를 실제 보고서와 대사하여 검증하는 등 안전성을 확보할 필요 ** 사전승인된 테스트 인력이 출입등록, CCT
□ 데이터센터 이전 프로젝트의 일환으로 주전산시스템 데이터베이스 일괄 업그레이드*를 추진하는 과정에서 사전 성능 테스트 및 데이터 정합성 검증을 위해 기존 내부통신망과 분리된 별도 폐쇄망을 구축하여 실제 이용자 정보를 사용**할 경우 전자금융감독규정 제13조제1항제8호에 따른 조치대상에 해당하는지 여부 * 현재 사용중인 주전산시스템 데이터베이스 버전에 대한 제조사 기술지원이 종료되어 업그레이드를 통한 서비스 운영 안정성 및 보
□가상자산사업자가 영업을 종료한 경우, 이용자로부터 위탁받아 보관하는 이용자 자산을 「디지털자산보호재단」으로 완전히 이전하는 것을 조건으로 「가상자산이용자보호법」에 따른 이용자 자산의 보호 의무(법 제7조, 제8조) 미준수 행위를 비조치해 줄 것을 요청
□가상자산사업자가 영업을 종료한 경우, 이용자로부터 위탁받아 보관하는 이용자 자산을 「디지털자산보호재단」으로 완전히 이전하는 것을 조건으로 「가상자산이용자보호법」에 따른 이용자 자산의 보호 의무(법 제6조, 제7조, 제8조) 미준수 행위를 비조치해 줄 것을 요청 판단
□가상자산사업자가 영업을 종료한 경우, 이용자로부터 위탁받아 보관하는 이용자 자산을 「디지털자산보호재단」으로 완전히 이전하는 것을 조건으로 「가상자산이용자보호법」에 따른 이용자 자산의 보호 의무(제8조) 미준수 행위를 비조치해 줄 것을 요청
□가상자산사업자가 영업을 종료한 경우, 이용자로부터 위탁받아 보관하는 이용자 자산을 「디지털자산보호재단」으로 완전히 이전하는 것을 조건으로 「가상자산이용자보호법」에 따른 이용자 자산의 보호 의무(법 제6조, 제7조, 11조) 미준수 행위를 비조치해 줄 것을 요청
□ 금융회사가 해외 계열사(이하 “수탁자”)에 전산시스템 운영관리 업무를 위탁하고, 위탁업무 수행 목적으로 수탁자 단말기*와 국내 전산실에 위치한 전산시스템 서버를 전용회선으로 연결하여 접속하는 경우, 전자금융감독규정 제15조제1항제5호에 위반하는지 여부 * 다수의 해외 계열사와 전용회선으로 연결되어 있고 인터넷 등 그 외 외부통신망과는 논리적으로 분리 차단하고 있는 업무용 단말기 □ (위반에 해당시) 상
임직원·개인정보취급자 대상 정기 보안·개인정보 교육이 시행되고, 악성메일(피싱) 모의훈련을 통해 취약군을 식별·재교육하며, 훈련 결과가 개선에 반영되는지가 핵심이다.
무인 키오스크가 이용자 세션 종료 시 개인정보를 확실히 삭제하고, 물리적 변조·USB 삽입·화면 훔쳐보기(숄더서핑)를 방지하며, 관리자 접근·업데이트가 통제되는지가 핵심이다.
API Key·인증 토큰(액세스/리프레시)의 유효기간·범위(scope)가 최소화되고, 발급·회수·폐기·순환이 관리되며, 노출·미사용 자격증명이 즉시 폐기되는지가 핵심이다.
가상자산 개인키가 콜드월렛·HSM·다중서명으로 안전하게 보관·분리되고, 이체 승인에 다중 통제(격리·승인 한도)가 적용되며, 노드·핫월렛 서버 접근통제와 이상거래 탐지가 이루어지는지가 핵심이다.
도메인 등록정보 보호(레지스트라 락·소유권 관리), DNS 변조 방지(DNSSEC), 내부 DNS 접근통제, 유사 도메인·피싱 사칭 모니터링이 이루어지는지가 핵심이다.
전 시스템의 시각이 신뢰 NTP 소스로 동기화되어 로그 타임스탬프가 일관되고, 로그가 무결성 보장·중앙 수집되며 상관분석·점검이 가능한지가 핵심이다.
개인정보가 저장된 저장매체(HDD/SSD 등)를 폐기·재사용할 때 복구 불가능한 방법(디가우징·물리 파쇄·완전삭제)으로 처리하고, 파기 증적(파기확인서·사진·인증서)을 남기는지가 핵심이다.
IT 외주 계약에 보안 요구사항·성능(SLA) 지표가 명시되고, 수행 과정에서 보안 요구사항 이행·점검이 이루어지며, 산출물 보안 검증과 계약 종료 시 자산·권한 회수가 관리되는지가 핵심이다.
인증범위를 "우리가 인증받고자 하는 서비스"로 좁게 선언해 온 관행이 더 이상 통하지 않는다. 외부 인터넷과 연결되어 공격 경로로 활용될 가능성이 있는 자산은 범위에 반드시 포함하는 방향으로 제도가 바뀌고 있으며, 선언한 범위와 실제 인터넷 노출 자산 사이의 차이 자체가 쟁점이 된다.